Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0), wdrażająca dyrektywę NIS2 (UE) 2022/2555, obejmuje podmioty kluczowe i ważne z 18 sektorów wskazanych w tej dyrektywie. Objętych organizacji ma być w Polsce ok. 38 000 — to szacunek z informacji Ministerstwa Cyfryzacji z 20.04.2026, a nie liczba z ustawy. Przepisy obowiązują od 3.04.2026. art. 49 ustawy z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — ustawa weszła w życie po upływie miesiąca od ogłoszenia, które nastąpiło 2 marca 2026 r. Daty, kwoty i progi w tym wpisie pochodzą z tekstu ogłoszonego w Dzienniku Ustaw. W czterech krokach sprawdzisz, czy Twoja organizacja jest na tej liście.
Ustawa opiera się na samoidentyfikacji: dla większości podmiotów żaden urząd nie przyśle pisma z informacją o statusie. Część trafia jednak do wykazu bez własnego wniosku, i akurat jest to grupa, która najczęściej zakłada, że musi się rejestrować: minister właściwy do spraw informatyzacji wpisuje z urzędu do wykazu dotychczasowych operatorów usług kluczowych, a o wpisie z urzędu zawiadamia podmiot. art. 34 ust. 2 KSC 2.0 + art. 7b uKSC Jeśli więc jesteś podmiotem publicznym, Twoim obowiązkiem jest raczej uzupełnienie danych po otrzymaniu wezwania niż złożenie wniosku. W obu przypadkach analizę warto zamknąć przed terminem, a nie po pierwszej korespondencji z organem.
Krok 1. Czy Twój sektor jest w załączniku nr 1 albo nr 2?
Zacznij od branży. Dyrektywa NIS2 dzieli gospodarkę na sektory kluczowe (załącznik I) oraz inne sektory krytyczne (załącznik II). Ogłoszona nowelizacja przeniosła ten podział do uKSC jako załącznik nr 1 („Sektory kluczowe”) i załącznik nr 2 („Sektory ważne”). załączniki I i II dyrektywy NIS2 (UE) 2022/2555; załączniki nr 1 i nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) Jeśli Twojej działalności nie ma w żadnym z załączników, przepisy najpewniej Cię nie obejmują — choć warto sprawdzić także rolę dostawcy dla podmiotów objętych ustawą.
Polskie załączniki nie są kopią unijnych. Załącznik nr 2 wymienia dodatkowo „Inwestycje energetyki jądrowej” oraz „Podmioty publiczne”, a bankowość i infrastrukturę rynków finansowych załącznik nr 1 traktuje jako jeden sektor, nie dwa. Sprawdzaj się więc w wykazie z ustawy, a nie w liście z dyrektywy.
Nazwy załączników opisują sektory, nie podmioty. „Kluczowy” i „ważny” to cechy Twojej organizacji, nie branży — firma z załącznika nr 1 nie staje się przez to automatycznie podmiotem kluczowym. O kategorii przesądza dopiero wielkość, do której wracamy w kroku 4.
| Załącznik | Sektory |
|---|---|
| ZałącznikZałącznik nr 1 — Sektory kluczowe | SektoryEnergia; Transport; Bankowość i infrastruktura rynków finansowych; Ochrona zdrowia; Zaopatrzenie w wodę pitną i jej dystrybucja; Zbiorowe odprowadzanie ścieków; Infrastruktura cyfrowa; Zarządzanie usługami ICT; Przestrzeń kosmiczna; Podmioty publiczne. |
| ZałącznikZałącznik nr 2 — Sektory ważne | SektoryUsługi pocztowe; Inwestycje energetyki jądrowej; Gospodarowanie odpadami; Produkcja, wytwarzanie i dystrybucja chemikaliów; Produkcja, przetwarzanie i dystrybucja żywności; Produkcja; Dostawcy usług cyfrowych; Badania naukowe; Podmioty publiczne. |
Sektor „Podmioty publiczne” występuje w obu załącznikach i to w nim znajdzie się większość jednostek administracji. Załącznik nr 1 obejmuje m.in. jednostki sektora finansów publicznych wraz z urzędami je obsługującymi, starostwa powiatowe oraz urzędy gmin po przekroczeniu progu zatrudnienia wskazanego w tym załączniku; załącznik nr 2 — samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury i spółki komunalne wykonujące zadania o charakterze użyteczności publicznej. sektor „Podmioty publiczne” w załączniku nr 1 i w załączniku nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
Krok 2. Czy przekraczasz próg wielkości przedsiębiorstwa?
Przepisy obejmują co do zasady średnie i duże przedsiębiorstwa — co najmniej 50 pracowników albo jednocześnie ponad 10 mln EUR rocznego obrotu i ponad 10 mln EUR sumy bilansowej. art. 5 uKSC + rozporządzenie 651/2014/UE Mikro- i małe firmy pozostają zwykle poza nowymi obowiązkami — z wyjątkami opisanymi w kroku 3.
O wyniku nie przesądza sama liczba etatów — ustawa odsyła do wymogów dla średniego przedsiębiorstwa, a te łączą zatrudnienie ze wskaźnikami finansowymi. Progi liczy się przy tym jak w definicji MŚP, czyli z uwzględnieniem przedsiębiorstw partnerskich i powiązanych: niewielka spółka może je przekroczyć przez grupę kapitałową, do której należy. Przy wartościach granicznych rekomendujemy formalną analizę — błędna samoocena nie zwalnia z obowiązków ani z sankcji.
Krok 3. Czy dotyczy Cię wyjątek niezależny od wielkości?
Część podmiotów podlega przepisom bez względu na skalę działalności. Chodzi m.in. o kwalifikowanych dostawców usług zaufania, rejestry nazw domen najwyższego poziomu i dostawców usług DNS, wskazane podmioty publiczne oraz jedynych dostawców usługi istotnej dla społeczeństwa lub gospodarki. art. 5 ust. 1 i 2 uKSC Jeśli jesteś w jednej z ustawowych grup wyjątkowych, progi z kroku 2 nie mają znaczenia; pozostali dostawcy usług zaufania wymagają osobnej kwalifikacji na podstawie art. 5 uKSC.
Krok 4. Podmiot kluczowy czy ważny — jaka kategoria?
Decyduje wielkość podmiotu w połączeniu z załącznikiem, z którego pochodzi jego sektor — nigdy sam sektor: reguła ogólna łączy sektor lub rodzaj usługi z wielkością podmiotu, ale art. 5 przewiduje odrębne wyjątki sektorowe i progowe — m.in. dla przedsiębiorców komunikacji elektronicznej, dostawców DNS i usług zaufania, podmiotów krytycznych, podmiotów publicznych oraz dostawców usług zarządzanych w cyberbezpieczeństwie; kategorię kluczową lub ważną ustala się indywidualnie art. 5 ust. 1 i 2 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) · kwalifikacja wymaga indywidualnej weryfikacji
W praktyce: przedsiębiorstwo energetyczne (załącznik nr 1), które przewyższa wymogi średniego przedsiębiorstwa, jest podmiotem kluczowym; to samo przedsiębiorstwo, gdy te wymogi tylko spełnia — ważnym. Producent żywności (załącznik nr 2) pozostaje podmiotem ważnym także wtedy, gdy wymogi przewyższa. O kategorii przesądzają łącznie zatrudnienie i wskaźniki finansowe z rozporządzenia 651/2014/UE, a nie sama liczba pracowników. Wyjątki z kroku 3 działają też w drugą stronę: część podmiotów jest kluczowa bez względu na skalę.
Kategoria nie zmienia listy podstawowych obowiązków — wpis do wykazu, SZBI i zgłaszanie incydentów dotyczą obu grup. Różnicuje natomiast audyt. Obowiązek cykliczny obciąża wyłącznie podmiot kluczowy, który przeprowadza audyt na własny koszt co najmniej raz na 3 lata. art. 15 ust. 1 uKSC
Podmiot ważny nie audytuje się w stałym cyklu, ale audyt może mu nakazać organ: organ właściwy może nakazać decyzją audyt zewnętrzny — podmiotowi kluczowemu w każdym czasie, podmiotowi ważnemu w razie incydentu poważnego albo innego naruszenia ustawy; decyzja podlega natychmiastowemu wykonaniu art. 15 ust. 1b i 1c ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) — organ określa termin przekazania kopii raportu i rodzaj podmiotów uprawnionych, może też określić zakres audytu
Od kategorii zależy też model nadzoru: podmioty kluczowe podlegają nadzorowi także prewencyjnie (ex ante), podmioty ważne — po zdarzeniu (ex post). NIS2 art. 32–33 Kategoria przesądza wreszcie o górnej granicy kar. Sankcje opisujemy szczegółowo we wpisie o karach w NIS2/uKSC i odpowiedzialności zarządu.
Co zrobić po samoidentyfikacji?
Wpis do wykazu ma własny termin: 3.10.2026. komunikat MC z 8.04.2026 Obowiązki rozdziału 3 uKSC, w tym działający SZBI, zaplanuj do 3.04.2027. art. 33 ust. 1 KSC 2.0 Podmioty kluczowe przeprowadzają pierwszy audyt do 3.04.2028. art. 33 ust. 2 KSC 2.0
Harmonogram obejmuje podmioty, które spełniały przesłanki uznania w dniu wejścia w życie nowelizacji. Jeśli Twoja organizacja spełni je dopiero teraz — bo urosła, zmieniła działalność albo weszła w rolę wskazaną w załączniku — termin na wniosek biegnie od dnia ich spełnienia. art. 7c ust. 1 uKSC (Dz.U. 2026 poz. 252) — wniosek o wpis w terminie 6 miesięcy od dnia spełnienia przesłanek uznania
Pełny kalendarz obowiązków — wraz z cyklem audytu i sekwencją zgłaszania incydentów — zebraliśmy we wpisie o terminach uKSC.
Wynik samoidentyfikacji warto potwierdzić na piśmie. Analiza wstępna w ramach audytu NIS2 / KSC 2.0 dokumentuje przyjęte przesłanki i wniosek co do kategorii podmiotu. Taki dokument przydaje się również wtedy, gdy uznasz, że przepisy Cię nie obejmują — porządkuje podstawę tego stanowiska na wypadek pytań organu.